Le minacce “zero-day” stanno per arrivare anche nei veicoli?

00:00 Introduzione alla sicurezza informatica dei veicoli

Oggi, in “ The Garage ”, stiamo registrando in diretta dall’AutoTech Detroit con VicOne. VicOne è la filiale automobilistica di Trend Micro, leader nel settore della sicurezza informatica. Nella master class di oggi sulla sicurezza informatica dei veicoli, parleremo della natura delle minacce informatiche che colpiscono i veicoli e di come gli SDV possano migliorare il panorama delle minacce informatiche. Parliamo dei programmi incredibilmente unici che VicOne e Trend Micro utilizzano per aiutare le aziende a individuare le minacce zero-day che colpiscono i loro prodotti e i loro veicoli, e anche di come l’ AI e sia un’arma a doppio taglio nel campo della sicurezza informatica.

Andiamo.

00:45 Presentazione dell'ospite

Benvenuti su The Garage. Sono John Heinlein, direttore marketing di Sonatus. Stiamo registrando in diretta dall’AutoTech di Detroit e il nostro ospite di oggi è William Dalton di VicOne.

Willy, benvenuto su the garage. È un piacere essere qui. Siamo davvero entusiasti di conoscerti e di averti come ospite nel podcast. Comincia presentandoti.

Raccontaci qualcosa di te e del tuo percorso. Sì. Mi chiamo William Dalton. Sono felicissimo di essere qui ad AutoTech questa settimana e di poter parlare con voi.

Il mio percorso professionale è stato piuttosto variegato. Ho iniziato come ingegnere e programmatore software. Ho svolto questa attività per sette anni nel settore della produzione elettronica su commissione. E, in quel periodo, abbiamo sviluppato sistemi di controllo della produzione.

E poi sono entrato in Trend Micro, nel 2004, come amministratore di database. Beh, ormai sono passati quasi più di vent'anni. Sì. Più di vent'anni fa.

E, quasi ogni anno o ogni due anni, ho cambiato ruolo in un modo o nell’altro. Ho iniziato nel settore ingegneristico, sono passato alla gestione tecnica, ho iniziato a lavorare ad alcuni progetti globali insieme al nostro attuale CEO, Max Cheng, in VicOne. E, ogni due anni, in quel arco di vent’anni, ho cambiato ruolo passando da quello tecnico a quello operativo e poi a quello aziendale. Due anni e mezzo fa, ho avuto l’opportunità di andare a lavorare con Max presso VicOne, una società controllata da Trend Micro che si occupa di risolvere problemi nel settore automobilistico.

Fantastico. Tra un attimo parleremo più approfonditamente di VicOne, ma prima devi raccontarci un aneddoto divertente su di te. Certo. Non è che sia proprio divertente.

Credo che al giorno d’oggi lo facciano in molti, ma io produco la mia birra in casa, il che probabilmente non è una cosa strana per una persona che viene dall’Irlanda. Ma ho un pub tutto mio e, in effetti, pratico l’upcycling. Quindi, ogni volta che c’è qualcosa da buttare via, cerco di trovare un modo per riutilizzarlo. E, nel corso degli anni, ho accumulato vari oggetti per il pub.

Alcuni sono un letto, altri un mobile di recupero. Ed è una collezione di… beh, in un certo senso è un po’ un miscuglio. E poi invito spesso i miei amici a casa.

E, di conseguenza, avevo bisogno di trovare un modo per produrre birra a un costo inferiore, che fosse un buon spunto di conversazione e che mi permettesse anche di imparare qualcosa lungo il percorso. Quindi, sì, una piccola curiosità su di me. Ci stavi mostrando delle foto al riguardo, e sembra che quando parli di upcycling, le persone facciano un po’ fatica a immaginarselo. Ma se ci mostri una foto, la inseriremo nell’episodio così che tutti possano vederla.

È un lavoro di falegnameria davvero brillante, uno spazio bellissimo che farebbe invidia a chiunque. Ne ho già parlato all’inizio dell’anno, ma devo ripeterlo: quando, molti anni fa, lavoravo in Oregon, negli Stati Uniti, ho imparato a produrre birra. Così mi sono dedicato alla produzione casalinga per diversi anni, ed è davvero divertente perché c’è un po’ di scienza in mezzo. Giusto?

Ci sono un sacco di errori. Sì. Un sacco di errori. Il vantaggio della produzione di birra rispetto alla distillazione, che nella maggior parte dei posti è illegale, è che non rischi di ucciderti.

Avrà solo un brutto sapore. Avrà un brutto sapore. Sì. Con la distillazione, puoi ucciderti se… i miei amici sono ancora vivi.

Esatto. Ma hanno avuto un paio di sessioni difficili.

Ottimo. Ottimo.

03:49 Il contesto di VicOne

Ottimo. Allora, parlaci di VicOne, delle origini dell’azienda e di quali sono i vostri punti di forza.

Quindi VicOne è stata costituita nel maggio 2022, ma sulla scia di molti anni di ricerca che Trend Micro ha condotto nel settore automobilistico. E una delle conclusioni, sapete, risale al 2017, quando hanno iniziato questa ricerca: si sono resi conto che le sfide della sicurezza informatica, specialmente con l’avvento dell’SDV, dell’elettrificazione e dei cambiamenti normativi, rendevano il modo di risolvere i problemi di sicurezza informatica nel settore automobilistico molto diverso rispetto a quello aziendale. Esatto. Hanno quindi deciso consapevolmente di investire in quel settore per creare una società separata che operasse a un ritmo diverso, avesse un diverso livello di coinvolgimento con i clienti e offrisse effettivamente una gamma di prodotti diversa.

Abbiamo quindi realizzato un’intera serie di, come dire, vere e proprie analisi di mercato, lavorando su diversi “proof of concept” e “proof of value”, con diversi profili di clienti, per sviluppare effettivamente una serie di soluzioni pronte per il settore automobilistico. Abbiamo poi lanciato il progetto nel maggio 2022. E in quel periodo abbiamo registrato una crescita fenomenale in termini di modifiche al prodotto e adattamenti in linea con le esigenze dei clienti. Perché in questo processo c’è sempre un elemento di co-progettazione.

Certo. Che si tratti di una soluzione integrata nel veicolo o esterna, o che sia integrata con il processo, con le nostre procedure operative o con i vostri requisiti normativi. In generale, quindi, l’approccio è molto personalizzato. E, grazie al lancio di questi prodotti sul mercato, abbiamo stretto un numero enorme di partnership.

Tutto, insomma, dal settore SDV ai sistemi di bordo e fuori bordo, ma anche i fornitori di soluzioni in grado di offrire un’ampia gamma di funzionalità a seconda delle esigenze dei clienti. È stato un percorso davvero entusiasmante e a ritmo serrato. Esatto. E finora è stato un percorso molto interessante, che ci ha permesso di comprendere i problemi dei clienti e di risolverli.

È fantastico.

05:42 Passaggio ai veicoli definiti dal software

Insomma, come sapete, in questo podcast parliamo spesso di SDV e di software per veicoli. E quando parlo con i clienti o con gli operatori del settore, a volte percepisco una certa esitazione nel passare all’SDV, poiché si teme che una maggiore quantità di software possa aumentare la superficie di attacco. Penso che sia vero.

Qual è la tua opinione riguardo al passaggio all’SDV e alla sicurezza informatica? È un cambiamento che avverrà comunque. Lo abbiamo visto nel settore aziendale: abbiamo assistito alla diffusione delle reti definite dal software, delle WAN definite dal software, dei data center definiti dal software e dello storage definito dal software.

Tutto sta diventando "software-defined". Il software sta conquistando ogni settore. E il motivo è, ovviamente, che ciò comporta un enorme aumento dell’efficienza per quanto riguarda i cicli di distribuzione del software, i meccanismi di distribuzione, la frequenza e le iterazioni con cui è possibile aggiornare i propri prodotti e garantirne la sicurezza, oppure aggiungere ulteriori funzionalità, il tutto con un profilo di costo ragionevole. Si tratta quindi di un concetto molto effimero nei casi d’uso.

Giusto? Quindi, a seconda delle esigenze del momento, si utilizzano le risorse necessarie per soddisfare tali esigenze. È quindi molto più conveniente sotto molti aspetti. È una tendenza che si affermerà.

È proprio questo che si vede ora: le esigenze dei veicoli elettrici richiedono aggiornamenti software regolari, come sapete, per apportare modifiche. E in effetti questo cambiamento nell’architettura consente, una volta che l’auto è uscita dalla linea di produzione, di introdurre effettivamente nuove modifiche nel veicolo. Ciò richiede un cambiamento radicale rispetto al modo tradizionale di distribuire il software, in cui vi è un forte accoppiamento tra software e hardware. In questo caso, si astrae gran parte del software, che di fatto opera in modo indipendente, e poi si dispone di un livello di astrazione rispetto all’hardware.

Quindi i vantaggi che ciò offre non solo alle case automobilistiche ma anche ai consumatori sono enormi, ed è proprio questo che i consumatori richiederanno. Sarà quindi un processo guidato dai consumatori. È un punto davvero interessante quello che hai sollevato riguardo alla possibilità di effettuare aggiornamenti, perché alcuni dei più famosi casi di hackeraggio automobilistico, come ad esempio quello della Jeep Cherokee, che molti conoscono bene, riguardano veicoli che non sono definiti dal software.

Quelli sono veicoli convenzionali. E allora si pensa: «Oh, cavolo! Se realizzo un veicolo definito dal software, sarà vulnerabile agli attacchi informatici». Beh, anche i veicoli convenzionali sono vulnerabili agli attacchi informatici, ma è decisamente più difficile riparare un veicolo non definito dal software.

Con un veicolo definito dal software (SDV) è possibile apportare miglioramenti. È possibile applicare patch. È possibile rispondere a tali minacce in modo molto più rapido. Ritengo quindi che sia un malinteso diffuso tra alcune persone il fatto che, sebbene gli SDV presentino potenzialmente una superficie di attacco più ampia, offrano anche una maggiore capacità di rispondere più rapidamente agli attacchi.

Questa è una delle attività svolte dalla vostra azienda.

Esatto.

08:08 La sicurezza informatica nei veicoli definiti dal software

Sì. Insomma, al CES abbiamo dimostrato con successo, insieme a un nostro partner, che è stato effettivamente possibile aggiornare da remoto la… memoria flash

l'auto… e, in effetti, individuare e mitigare un rischio. Insomma, questa è una cosa seria. È… e, per tornare al tuo punto di vista, i veicoli tradizionali, gli attacchi a cui assistiamo, sono dello stesso tipo di quelli che vediamo nel settore aziendale.

Si tratta dello stesso tipo di vulnerabilità. Sono gli stessi tipi di problemi che riscontriamo. Quindi sono ancora a livello di chip. Sono a livello di software.

Si tratta, in realtà, di sistemi non aggiornati e di una gestione degli accessi non corretta. Quindi sono gli stessi tipi di problemi che riscontriamo nel settore aziendale e, in effetti, anche in quello automobilistico. E questo vale sia che si tratti di sistemi software-defined che di quelli tradizionali. Ok.

Va bene.

08:59 Implementazione di soluzioni per la sicurezza informatica

Quindi, quando implementate le vostre soluzioni, queste vengono implementate nel cloud, nel veicolo o in una combinazione dei due? Ci spieghi meglio. Quindi sono distribuite su più piattaforme.

Quindi utilizziamo sia l'elaborazione a bordo che quella fuori bordo. E riteniamo che ciò sia davvero necessario perché, se ci si limita alle soluzioni off-board, significa che nel momento in cui l’auto viene disconnessa dal cloud – cosa che accadrà in caso di attacco, poiché sarà una delle mosse che gli hacker adotteranno – si perderà il controllo. Avendo invece le soluzioni integrate nel veicolo, è possibile mantenere effettivamente un certo livello di controllo per mitigare tali attacchi. Quindi avremmo la nostra soluzione IDS.

Lo chiamiamo xCarbon. IDS sta per “sistema di rilevamento delle intrusioni”. Rilevamento delle intrusioni. IDPS, per la precisione. Ottimo. Meccanismi di rilevamento e prevenzione delle intrusioni.

Ottimo. Quindi disponiamo della tecnologia che abbiamo portato da Trend. E uno dei punti che ho menzionato prima, quando abbiamo parlato del nostro passaggio da Trend, riguarda i tre elementi distinti che abbiamo portato con noi: proprietà intellettuale, talenti e indipendenza finanziaria strategica. Parte di quella proprietà intellettuale è rappresentata dalla tecnologia IDPS, che è in uso nei data center aziendali da molti anni.

E si tratta proprio di una protezione a livello di rete, in linea, con ispezione approfondita di ogni singolo pacchetto, per i data center delle più grandi multinazionali e persino delle case automobilistiche del settore. Credo che otto delle prime dieci case automobilistiche utilizzino la nostra tecnologia IDPS nei propri data center. Questa tecnologia è in funzione da molti anni e ne abbiamo adattato una parte ai veicoli. Quindi, se vogliamo intervenire a livello di rete o a livello CAN, oppure se vogliamo esaminare il livello host, possiamo effettivamente analizzare tutti i diversi tipi di attacchi presenti nel veicolo.

Quindi, se si analizzano comportamenti anomali, se si osservano i diversi segnali che si verificano nel veicolo per identificare le diverse TTP (strumenti, tecniche o pratiche) applicate dagli attori della minaccia, è effettivamente possibile mitigarli e bloccarli direttamente nel veicolo. A volte, quindi, ha senso prendere decisioni all’interno del veicolo, mentre altre volte ha senso farlo dall’esterno. Quindi, se si vuole esaminare una situazione a livello macro relativa ad attacchi contro più veicoli, non è possibile farlo con un veicolo ausiliario. Esatto.

Quindi serve una combinazione di questi due elementi. E, come ho detto, disponiamo del nostro meccanismo di rilevamento delle intrusioni integrato nel veicolo per segnalare tali eventi e inviarli all’esterno. Inoltre, grazie al nostro IDPS, possiamo prendere tali decisioni direttamente a bordo del veicolo. Inoltre, abbiamo la capacità di applicare insiemi di regole o pacchetti di patch al veicolo senza dover passare attraverso l’intero processo di test e convalida del software.

In realtà è possibile mitigare il problema prima ancora di... se vuoi, la chiamiamo una soluzione “di ripiego”. Quindi si applica questa soluzione di ripiego per guadagnare il tempo necessario a completare il processo di test e verifica. Esatto. Una soluzione di mitigazione provvisoria.

Esatto. E, per quanto riguarda la parte esterna al veicolo, se, ancora una volta, occorre esaminare le decisioni a livello macro, in genere ciò avviene nel nostro SOC per veicoli, xNexus, che acquisisce, come sapete, i dati telemetrici dal veicolo. Potrebbe acquisire tutti i diversi segnali. Ma, in genere, ciò che facciamo è inviare solo le informazioni necessarie.

Quindi, una delle sfide che gli OEM devono affrontare in questo momento è che si trovano a dover gestire il problema di inviare tutte queste informazioni all'esterno del veicolo, il che comporta costi elevati perché devono praticamente inviare tutto e poi utilizzare la modellazione " AI " nel sistema esterno per cercare di distinguere il segnale dal rumore. Quello che facciamo noi è eseguire questa operazione direttamente a bordo. Esatto. E, in realtà, inviamo all'esterno solo ciò che è rilevante.

Questo permette di ridurre i costi e i tempi di elaborazione per l’analista che si occupa direttamente di questi dati. Inoltre, quando integriamo tutto ciò con le nostre capacità di analisi delle minacce – abbiamo una vasta esperienza nel panorama delle minacce, che incorporiamo anche nelle nostre soluzioni – sovrapponiamo le informazioni relative alle minacce. In sostanza, si tratta di qualcosa che osserviamo verificarsi in ambiente reale.

Alcuni autori di minacce stanno compiendo azioni illecite. Incrociamo quindi tali informazioni con i dati relativi al veicolo e con i feed provenienti dalla gestione delle vulnerabilità. Quando analizziamo la catena di fornitura, le risorse sono costituite dall’architettura del veicolo. Effettuiamo quindi una correlazione incrociata tra la minaccia e la risorsa, confrontandola con le informazioni che rileviamo nel veicolo, ottenendo così una visione completa di ciò che sta accadendo a tutti i livelli.

A quel punto potremo mettere in atto i meccanismi adeguati per proteggerci da quelle situazioni. Forniamo quindi tali informazioni all’analista del VSOC, che provvederà a sintetizzarle per poi trasmetterle al team PSIRT, il quale si occuperà essenzialmente di mitigare il problema e di applicare una soluzione a lungo termine. Ed è così che procediamo, in sostanza. Giusto per chiarire: VSOC sta per «Vehicle Security Operation Center», ovvero centro operativo per la sicurezza dei veicoli, solitamente gestito dal produttore OEM. Sì.

Qualcuno che monitora le minacce dal proprio... Sì. Può trattarsi di un SOC di veicolo oppure, se preferisci, di un SOC di prodotto. Mhmm. Quindi, a seconda del settore dell’organizzazione, se si tratta più del settore IT, viene solitamente chiamato VSOC.

Se parliamo di sicurezza dei prodotti, era una sorta di centro operativo per la sicurezza dei prodotti. Oppure si potrebbe anche definire un sistema di rilevamento e risposta incrociato. Esatto. Che fondamentalmente raccoglie diversi dati provenienti da diversi sistemi e poi li integra con le procedure operative interne all'OEM. È fantastico.

Sta diventando una vera e propria lezione di sicurezza informatica. Fantastico. Mi fermo qui. Abbiamo anche soluzioni per la protezione delle stazioni di ricarica per veicoli elettrici (EVSE).

Quindi, per quanto riguarda la ricarica dei veicoli, sappiamo che si tratta di un’altra via di attacco. Che sia over-the-air, tramite il sistema di ricarica del veicolo, tramite il back-end cloud, tramite il livello API, tramite il sistema IVI o direttamente sul veicolo stesso, la superficie di attacco si è ampliata enormemente. E poi si stanno introducendo anche molte nuove tecnologie. Giusto?

Quindi, per quanto riguarda l’SDV e il processo di astrazione in atto, utilizziamo un’architettura consolidata sui controller di dominio e sui controller di zona, e in questo modo si ottiene l’astrazione e la segregazione dei carichi di lavoro. Esatto. Si introduce quindi l’uso di hypervisor e la sicurezza dei container, e tutto ciò comporta anche ulteriori sfide.

Ed è proprio per questo che parlo delle sfide tradizionali legate alla sicurezza all’interno dei veicoli. Ed è proprio qui che si crea quella “tempesta perfetta”: gli elementi tradizionali, come l’hardware e il software integrato, insieme all’SDV e alla tecnologia necessaria per renderlo possibile. Ed è un’opportunità matura, pronta per essere colta da qualcuno.

14:55 Integrazione delle soluzioni di sicurezza informatica

Quindi hai detto che, a volte, le vostre soluzioni vengono eseguite nel cloud, altre volte a bordo del veicolo. Parliamo ora per un momento dell’esecuzione a bordo del veicolo: che tipo di risorse… dove le esegui a bordo del veicolo? Che tipo di risorse utilizzi? Quindi avviamo una discussione progettuale, sia che si tratti di un OEM o di un fornitore di primo livello, per stabilire quale sia il luogo migliore in cui farlo.

Quindi dipende davvero dall'architettura. Alcune delle loro architetture sono molto diverse tra loro. In genere, se ne trovano esempi nella TCU. Se ne trovano forse anche nel sistema ADAS, o magari nel settore IVI.

Quindi, a quel punto, collaboreremmo con il fornitore per capire quale sia il modo migliore per farlo. Di solito ci vuole un po’ di tempo, ma abbiamo già instaurato numerose partnership con alcuni dei principali produttori di chip per garantire l’integrazione preventiva. Ad esempio, NXP: abbiamo integrato la nostra soluzione con la loro GoldBox.

E, in sostanza, ciò può accelerare i tempi di immissione sul mercato per i fornitori di primo livello e gli OEM nell’implementazione e nell’utilizzo di alcune delle funzionalità di accelerazione hardware. In alcuni casi, infatti, si riduce effettivamente il lavoro di integrazione. In genere, per noi si tratta di un processo molto rapido. Riusciamo a portare a termine il lavoro, anche nel caso, ad esempio, di una nuova architettura o di un nuovo produttore di chip – o di un SoC – che vogliamo adottare, in sole due o tre settimane.

È davvero un ottimo processo. E poi, ovviamente, il processo di integrazione richiede un po’ più di tempo quando si lavora con loro, ma la convalida è davvero, davvero rapida. E, quindi, sì, è così che lavoriamo con gli OEM e nel settore embedded. E poi, mi è sfuggita parte della domanda…

Il punto è la disponibilità di risorse. Oh, sì. Ok. Abbiamo un impatto ambientale molto ridotto. Questo è uno dei nostri punti di forza che ci contraddistingue rispetto ad alcuni degli altri operatori del settore.

In realtà utilizziamo solo il minimo indispensabile di risorse per gestire quel carico di lavoro, che può quindi essere eseguito a livello dell’applicazione stessa. Ma può anche integrarsi con alcune delle funzionalità hardware del chip. Quindi, ancora una volta, prendo NXP come esempio. Supponiamo che abbiano una NPU, cosa che effettivamente hanno.

E, se volete eseguire operazioni come, ad esempio, l’ispezione dei pacchetti e volete farlo alla velocità della linea, allora c’è la possibilità di utilizzare forse parte dello spazio di memoria interno per farlo effettivamente a velocità elevata, cosa che alcuni di voi potrebbero non considerare. Quindi abbiamo la possibilità di sfruttare alcune delle funzionalità hardware per esigenze specifiche. Ma, come ho detto, tutto dipende dal singolo caso d’uso e, in realtà, dai requisiti di sicurezza definiti dal team di sicurezza del servizio. Questo è un punto importante.

E anche Sonatus opera in questo modo. Abbiamo, ad esempio, una partnership con NXP e stiamo già producendo insieme a loro. Utilizziamo funzionalità specifiche come l’accelerazione dei pacchetti e l’accelerazione dell’inoltro dei pacchetti; pertanto, sfruttare le risorse di qualsiasi fornitore di chip o di qualsiasi ECU si stia utilizzando è davvero una mossa intelligente. Quindi noi stavamo

ieri, mentre parlavamo, e tu, tu...

17:36 Pwn2Own

avete questo incredibile programma, frutto della collaborazione tra voi e Trend Micro, per aiutare le aziende a identificare le minacce zero-day nei propri prodotti.

Raccontaci qualcosa di questo programma. È davvero incredibile. Sì. È una storia incredibile. Si chiama Pwn2Own, e da due anni siamo i primi a organizzare un Pwn2Own dedicato al settore automobilistico.

E ormai da due anni lo organizziamo con successo ogni gennaio in Giappone e a Tokyo. Ed è, è davvero un grande successo, per il settore automobilistico. Ma vorrei fornire qualche cenno storico su Pwn2Own stesso. Quindi, in sostanza, si tratta di un programma di ricompense che incentiva i migliori hacker etici del mondo.

Gli hacker “white hat”. Sì. Sì. I “buoni”. Sì. E, in sostanza, per competere nell’individuazione delle vulnerabilità zero-day.

18:23 Comprendere le vulnerabilità zero-day

Magari potresti spiegare al nostro ospite cos’è una minaccia “zero-day”. Una vulnerabilità “zero-day” è una vulnerabilità in cui lo “zero” indica il tempo necessario per applicare la patch, ovvero bisogna farlo immediatamente perché si tratta di qualcosa che non è mai stato visto prima. Sì. Quindi si tratta di minacce nuove, di punti deboli nuovi, di vulnerabilità che non sono mai state identificate prima.

E sia da parte del fornitore, sia da parte del pubblico in generale. E finché esiste quel lasso di tempo, il tempo che intercorre dallo zero, sono vulnerabili. Ed è nell’interesse di tutti ridurre il più possibile quel lasso di tempo, applicare le patch e mitigare il rischio il più possibile. Ecco, questo è il termine “zero-day”.

Quindi, non partecipiamo all’evento Pwn2Own; il gruppo ZDI, ovvero la Zero Day Initiative, gestisce un programma di bug bounty in cui acquista exploit in generale. L’evento Pwn2Own, invece, è incentrato sull’individuazione di exploit zero-day. E lo portiamo avanti con successo dal 2007, credo. Si tratta quindi di un’attività che va avanti da moltissimi anni in Trend Micro e, più recentemente, con VicOne per il Pwn2Own Automotive.

E, come ho detto, si tratta davvero del meglio del meglio. Per fare un esempio, l’anno scorso abbiamo individuato quarantanove vulnerabilità “zero-day” in tre giorni. Se ci pensate, confrontando questo dato con quello del settore in generale, nell’intero settore automobilistico sono state individuate solo trentotto vulnerabilità “zero-day” in tutto l’anno. Il fatto che in soli tre giorni, grazie a persone altamente motivate, altamente qualificate e altamente incentivate, in un ambiente controllato, sia stato possibile individuare un numero così elevato di vulnerabilità, permette di trarre alcune conclusioni.

Innanzitutto, ci sono molte opportunità facili da cogliere in questo ambito e, in effetti, come emerge dai risultati, si tratta di rischi di tipo molto tradizionale e di vulnerabilità che sono state sfruttate.

20:14 Approccio alla competizione Pwn2Own

Il secondo aspetto, che rappresenta una sorta di campanello d’allarme, è che alla fine si verificheranno due eventi contemporaneamente, determinando un cambiamento radicale per il settore. Innanzitutto, le barriere tecniche all’ingresso di cui potrebbero approfittare i malintenzionati diventeranno meno elevate. E in un certo senso lo stiamo già osservando in parte.

Ma probabilmente l’aspetto più interessante è che, una volta individuata un’opportunità di monetizzazione, è proprio lì che le cose cambieranno davvero. Va bene? Quindi, per tornare un attimo alla storia di Pwn2Own, lo scopo del primo punto è, innanzitutto, quello di collaborare con il fornitore.

Quindi, un fornitore, come ad esempio Tesla, è stato lo sponsor principale, come ben sapete, negli ultimi cinque anni del Pwn2Own Automotive. Mette a disposizione degli hacker un’auto completa su cui possono effettivamente provare a sferrare i loro attacchi. A proposito, se ci riescono, possono tenerla.

Sì. Raccontaci quella storia. È davvero interessante. Sì. Perché, insomma, beh, prima di tutto il valore di rivendita di un’auto modificata non è granché.

Giusto? Quindi probabilmente ha senso fornire loro il veicolo, ma è un buon incentivo affinché lo facciano. Inoltre, abbiamo, come sapete, fornitori di stazioni di ricarica per veicoli elettrici (EVSE) che, come sapete, inviano i propri componenti per essere testati. Ma la maggior parte delle soluzioni è disponibile nel dominio pubblico.

Allora provano a hackerarlo. E ci si accorge che molti di loro sono in competizione tra loro. Giusto? Quindi alcuni di loro, addirittura, ci provano fino all’ultimo minuto, cercano di individuare i punti deboli e sperano che il fornitore non abbia applicato la patch la settimana prima, così che quando eseguono il resto… insomma, quello che fanno è presentarsi all’evento.

Utilizzano un sistema a sorteggio per stabilire chi inizia per primo. Eseguono il loro script per dimostrare come funziona l’attacco. Il tutto viene verificato da noi e dal fornitore. E, se l’attacco ha esito positivo, ricevono un premio in denaro.

Inoltre, guadagnano punti. E il vincitore viene poi proclamato “maestro di Pwn2Own”. Quindi è una competizione davvero molto agguerrita. Mettiamo in palio premi che vanno da ottocentomila a oltre un milione e mezzo, a seconda dei casi. Si tratta di premi in denaro veri e propri!

Sì. Insomma, sono davvero il meglio del meglio. Sono persone in grado di individuare vulnerabilità che nessun altro riesce a individuare. Persone con competenze davvero, davvero elevate.

E, a volte si tratta di gruppi, altre volte di singoli individui. Abbiamo quindi molti gruppi molto famosi che si sfidano. È come un circuito, ma Pwn2Own è il Santo Graal di questo circuito. Ora, quello che facciamo è che, una volta identificata la vulnerabilità, il motivo è proprio questo: perché lo facciamo.

Giusto? Quindi la ricompensa viene effettivamente pagata dal fornitore e da noi. La dividiamo a metà. E poi acquisiamo la titolarità della proprietà intellettuale.

In questo modo comprendiamo quindi le TTP utilizzate, come è stato condotto l’exploit, quali sono i diversi elementi che potremmo integrare nei nostri prodotti per proteggere i nostri clienti. Successivamente collaboriamo con il fornitore per avviare il processo di divulgazione. Lo scopo è garantire una divulgazione responsabile. Lo facciamo con successo nel settore aziendale da moltissimi anni: si tratta di una pratica ben nota, adottata da tutti.

Giusto.

23:10 Divulgazione delle vulnerabilità nel settore automobilistico

Inoltre, di norma il preavviso è di novanta giorni. La sfida nel settore automobilistico risiede nel fatto che la divulgazione presenta un aspetto legato alla sicurezza molto diverso. Inoltre, il meccanismo di divulgazione è molto complesso.

Quindi, per quanto riguarda l’aspetto della sicurezza, credo che lo capiamo tutti. Sapete, se un malintenzionato potesse sfruttare un veicolo che ha implicazioni in termini di sicurezza e, insomma, di vita umana, la complessità sta nel fatto che, come sapete, ci sono tantissimi livelli diversi nel meccanismo di fornitura per gli OEM. In definitiva, la responsabilità ricade sull’OEM, ma, come sapete, ci sono fornitori di primo livello, fornitori di secondo livello. Il ciclo di vita è molto lungo.

Alcuni di questi veicoli circolano ormai, diciamo, da venti, venticinque anni, a seconda dei casi. E i team di ingegneri che hanno sviluppato questi componenti hardware e software sono ancora in attività? Lavorano ancora sul codice sorgente? Hanno la capacità di rilasciare una patch? Cosa comporta tutto ciò dal punto di vista operativo e in termini di costi?

In quanto tempo riescono a farlo o a stabilire le priorità rispetto ai loro impegni già in corso? Quali sono le implicazioni e le garanzie? Capisci? Insomma, ci sono tutte queste sfide operative, rischi, rischi legali e assicurativi che devono prendere in considerazione.

Quindi non è una situazione facile da risolvere, per cui dobbiamo lavorare a stretto contatto con gli OEM e i fornitori per individuare effettivamente un meccanismo che consenta loro di mitigare tale rischio e poi renderlo pubblico.

24:46 Minacce alla sicurezza informatica in altri settori

Ci stavi raccontando alcune storie relative ad altri settori della tua esperienza in Trend Micro… dato che hai lavorato a Trend Micro per molto tempo prima di passare, di recente, a VicOne. Alcune di queste sono vere e proprie storie da brivido su come le minacce alla sicurezza informatica possano avere un impatto su altri tipi di aziende. Vuoi raccontarci alcune di queste storie?

Sì. Allora, una delle cose, sai, forse prima di passare alle storie, penso che uno degli aspetti su cui riflettere in particolare nel settore automobilistico sia la divulgazione deterministica. Quindi, quando parliamo, o meglio, quando parlo delle sfide relative al coordinatore o alla divulgazione, si tratta in un certo senso di un processo deterministico perché, sai, sappiamo bene che gli OEM e i fornitori di primo livello devono effettuare test di penetrazione. E hanno i propri programmi di bug bounty.

Potrebbero avere i propri metodi e strumenti per individuare i rischi, insomma, nell’architettura, nel software e nei componenti stessi. Ma spetta a loro decidere quando renderli noti. Giusto? E poi ho parlato dei due punti di svolta.

Quando si verificherà la riduzione delle barriere tecniche all’ingresso e l’elevata monetizzazione? Una volta che ciò accadrà – e accadrà, credo, a un certo punto – la situazione non sarà più deterministica. A quel punto bisognerà reagire e prendere decisioni molto, molto rapidamente in una situazione davvero complessa, cosa già difficile da fare nel mondo di oggi. E tutto questo con la pressione del tempo e sotto lo sguardo attento dell’opinione pubblica.

Giusto? Insomma, questo ha cambiato le carte in tavola. E tornando alla tua domanda, ho avuto modo di constatare di persona che, anche in Irlanda, che è un paese piccolo, ma ho molti amici che ricoprono il ruolo di CISO, in tantissime situazioni diverse, persone e aziende subiscono attacchi hacker continuamente. Mhmm.

La maggior parte di queste informazioni non viene resa pubblica. Ricordo tre conversazioni specifiche in cui un mio amico, che ricopre il ruolo di CISO, mi ha chiamato dicendomi: “Sono nei guai”. In un caso, ad esempio, la persona era stata assunta da appena un paio di settimane e tutte le operazioni dell’azienda erano già fuori uso a livello globale. In un altro caso, sono state colpite alcune strutture sanitarie.

Quindi, quando ciò accadrà, sarà proprio quello a determinare il tuo successo o il tuo fallimento come CISO. Certo. È un’esperienza che non dimenticherai mai. Dovrai prendere tantissime decisioni cruciali sotto pressione estrema e in pochissimo tempo.

E molto spesso, per quanto si lavori, per quante esercitazioni teoriche si svolgano, per quante simulazioni si preparino, non è davvero possibile prepararsi a questo tipo di evento. E poi lo stress, lo stress personale a cui sono sottoposti nel dover affrontare tutto questo. Capisci? Insomma, se si tratta di un’organizzazione pubblica, ci sono degli obblighi nei confronti della collettività.

Ti ritrovi a dover gestire l’arrivo di terzi che si offrono di, insomma, magari il consiglio di amministrazione raccomanda qualcuno che intervenga per cercare di capire cosa sia successo e ottenere delle risposte. Tutti vogliono aggiornamenti regolari. Il tuo team sarà sotto pressione e a corto di energie nel tentativo di risolvere la situazione. È un vero incubo.

E ne ho fatto esperienza in prima persona. Quindi non è una cosa che si vorrebbe fare molto spesso. Sono abbastanza sicuro che ogni CISO ci passi almeno una volta nella propria vita, ma non è certo una bella situazione in cui trovarsi. Sì.

Questo tende quindi a rendere le persone reticenti, a pensare, insomma, “Oh, cavolo. Non dovremmo installare software nei veicoli, e non dovremmo fare questo”. Ma la realtà è che disponiamo delle tecniche necessarie. Nell’IT aziendale esistono delle best practice per risolvere questi problemi.

La tecnologia sta migliorando. Trend Micro continua a stare al passo con i tempi. Quindi, pensando al settore automobilistico, quale consiglio daresti al settore su come dovremmo integrare queste pratiche nel settore automobilistico? Sì.

Quindi le richieste sono tali che la cosa andrà avanti a prescindere. Voglio dire, la questione è: come possiamo, insomma, dovremmo farlo dal punto di vista della sicurezza? Dovremmo farlo perché i vantaggi economici, quelli commerciali, quelli legati al time-to-market e quelli operativi superano di gran lunga il rischio. La domanda è: come si gestisce il rischio?

E abbiamo visto che questo aspetto è stato gestito con successo, man mano che il concetto di “software-defined everything” ha fatto il suo ingresso nel mondo aziendale. Esistono modi per mitigare tali rischi e anticiparli. Quindi, più ci si impegna in termini di sicurezza proattiva, più si investe nella comprensione dei tipi di scenari che potrebbero verificarsi, nell’integrazione della sicurezza fin dalla progettazione, nella creazione di meccanismi operativi molto solidi per essere in grado di gestire un evento, ma anche, come ben sapete, nel corso dell’intero ciclo di vita dell’attacco: qual è la vostra strategia di mitigazione durante l’intero ciclo di vita? E assicurandovi di essere coperti in tutte quelle aree.

Il concetto di “veicolo definito dal software” non fa eccezione. È semplicemente un altro modo per garantire la vostra protezione. Quindi il mio consiglio è di non modificare in alcun modo la strategia relativa alla sua adozione. Assicuratevi semplicemente di proteggerlo correttamente.

Giusto.

29:45 Il ruolo dell’ AI e nella sicurezza informatica dei veicoli

Ma, sai, un argomento molto importante al giorno d’oggi è l’intelligenza artificiale. Sta diventando sempre più diffusa in molte parti del mondo, ovviamente, ma anche nei veicoli. Parlami dei pro e dei contro dell’ AI e nei veicoli dal punto di vista della sicurezza informatica.

Quindi vorrei ricollegare tutto questo all’evento Pwn2Own. Giusto? E di recente abbiamo avuto Sina, che quest’anno è il campione del Pwn2Own. È un singolo partecipante e gareggia contro squadre come Synacktiv e molti altri gruppi composti da più persone, sapete, individui davvero molto competenti e di alto livello che cercano di individuare le vulnerabilità.

E gli ho posto la domanda che, sapete, riguarda l’ AI. E, pur affermando di non essere un esperto di AI , la sua risposta è stata: “Sviluppo modelli di AI che mi aiutano a sgravarmi dal lavoro ripetitivo o da quel tipo di attività che semplicemente non ho tempo di svolgere, ma che devo portare a termine per riuscire a comprendere appieno tutte queste situazioni di attacco”. Ha quindi affermato di essere un hacker white hat — hacker white hat — che utilizza AI per aumentare la propria produttività nell’hacking white hat. Esattamente.

Ed è proprio così che riesce a competere con i gruppi. E quindi la mia riflessione al riguardo è stata: “Questo è un tizio che si dedica, insomma, all’hacking etico. E se fosse un malintenzionato? In tal caso, potrebbero anche sfruttare AI per avere ancora più successo nei loro tentativi”.

Quindi questo è da un lato. Giusto? Ma poi vediamo anche la possibilità di utilizzare l'AI a a scopo di protezione, cioè utilizzando vari modelli per identificare schemi comportamentali, per quanto riguarda i modelli di anomalia. Lo si può notare in relazione al filtraggio e ai diversi eventi che rileviamo dai veicoli.

Possiamo notare che, per quanto riguarda la correlazione e i diversi modelli di comportamento che osserviamo, abbiamo parlato di dati “on-board” e “off-board”, ma anche di sistemi diversi. Potrebbe essere utile esaminare le diverse attività trasversalmente a questi elementi, non limitandosi a considerarli come insiemi isolati, ma analizzando effettivamente il quadro nella sua interezza. Quindi, per tutte queste diverse esigenze, è possibile utilizzare AI per accelerare il processo laddove un essere umano semplicemente non è in grado di farlo.

Capisci? Leggere i registri di lettura direttamente dal veicolo stesso. Capisci? Ci vorranno modi diversi per andare oltre i semplici insiemi di regole, come si è sempre fatto.

Capisci? E quindi devi, devi AI : vediamo che ci saranno persone che useranno AI per attaccare, ma puoi anche usare AI per difenderti. E la domanda è: chi vincerà la corsa e chi riuscirà ad adattarsi al meglio e più rapidamente?

32:13 Conclusioni e prospettive future

È davvero una prospettiva interessante su come l’ AI , nel campo della sicurezza informatica, rappresenti un’arma a doppio taglio.

Willy, è stata una conversazione incredibile. Abbiamo toccato tantissimi argomenti. Ho imparato tantissimo. Grazie per essere stato con noi.

Siamo davvero entusiasti di lavorare con te. Non vediamo l’ora di collaborare ancora con te in futuro su Sonatus e, e grazie per aver partecipato alla trasmissione. Grazie mille. Se ti è piaciuta la puntata di oggi, metti “Mi piace” e iscriviti per vedere altre puntate come questa.

Potete trovarci su YouTube, sul sito Sonatus , su Apple Podcasts e su Spotify. Non vediamo l’ora di rivedervi molto presto in un’altra puntata di “ The Garage ”.